Ransomware-Erkennung jetzt im Wiederherstellungs- und Replikationsportfolio von Cristie Software enthalten

Um effektiv zu sein, muss Ransomware Dateien verschlüsseln, das heißt, sie muss Dateiinhalte von der Festplatte lesen und dann verschlüsselte Dateiinhalte auf die Festplatte schreiben. Die Art und Weise wie dies geschieht variiert; einige Ransomware-Prozeduren schreiben in eine andere Datei und löschen dann die Originaldatei. Einige schreiben in die Originaldatei und benennen die Datei möglicherweise um, nachdem sie verschlüsselt wurde. Daher ist die Suche nach Massenlöschungen und Umbenennungen Teil des Prozesses – aber das ist nur die Spitze des Eisbergs. Der eigentliche Verschlüsselungsprozess variiert auch mit einigen Workloads, die Fragmente von Dateien verschlüsseln, während andere die gesamte Datei verschlüsseln können. Die Dateiverschlüsselung wird erkannt, indem die Entropie einer Datei berechnet wird. Die Dateientropie misst die Zufälligkeit der Daten in einer Datei und wird verwendet, um zu bestimmen, ob eine Datei versteckte Daten oder verdächtige Skripts enthält. Die Skala der Zufälligkeit reicht von 0, nicht zufällig, bis 8, völlig zufällig, wie z. B. eine verschlüsselte Datei. Natürlich weist jeder Backup-Prozess, der Verschlüsselung und/oder Datenkomprimierung verwendet, auch diese Eigenschaften auf, einschließlich der Umbenennung von Dateien mit einer Erweiterung wie „.bak“ und einer anschließenden Erhöhung der Dateientropie. Jeder Algorithmus zur Erkennung von Dateianomalien muss daher in der Lage sein, zwischen verdächtigem und erwartetem Verhalten zu unterscheiden, um falsch positive Warnungen zu vermeiden. Typische Ransomware-Angriffe weisen Merkmale auf, die von den Anomalieerkennungsalgorithmen von Cristie durch den Vergleich mit bekannten Mustern erkannt werden können. Der Erkennungsprozess kann nach jeder Systemsicherung ausgeführt werden. Dateiaktivitätsberichte und abgestufte Warnungen werden dann über ein Sicherheits-Dashboard in der Benutzeroberfläche der Cristie Virtual Appliance (VA) angezeigt. Warnungen können auch per E-Mail bereitgestellt und in Ereignisprotokollen aufgezeichnet werden.